Дайджест #1: атаки на обвязку AI-агентов, а не на модель

GitLab закрыл критичную дыру в AI Gateway (CVSS 9.9)

Что случилось. 2 октября GitLab выпустил патчи AI Gateway 19.2.4, 19.3.2 и 19.4.1 для CVE-2026-90970. Пользователь с доступом к Duo Agent Platform мог специально подготовленной конфигурацией flow выйти из песочницы шаблонов промптов и выполнить команды на шлюзе. Это касается только самостоятельно развёрнутых шлюзов; GitLab.com и Dedicated исправлять ничего не нужно. Использование уязвимости в атаках, по данным CVE-записи, не зафиксировано.

Моё мнение. Шаблон промпта здесь работает как код, а значит, это поверхность для классической инъекции в шаблонизатор, только в обёртке «AI». Если вы держите собственный LLM-шлюз, внесите его в обычный цикл патчей и сканирования. В тест-плане для агентных платформ должны быть кейсы «пользовательская конфигурация flow пытается выйти за пределы песочницы», а не только проверки качества ответов.

Источник: The Hacker News

GitSpawn: кодовые агенты исполняют команды из .git до подтверждения

Что случилось. Исследователи Manifold Security описали восемь находок в семи агентах (Claude Code, Codex, Cursor, Goose, Grok Build, Hermes Agent, Qwen Code). Агенты запускают git для сбора контекста, не очищая конфиг репозитория, и параметр вроде core.fsmonitor выполняет команду на хосте вне песочницы и без запроса. На момент публикации четыре из восьми проблем оставались непропатченными. Для эксплуатации нужен репозиторий с готовой папкой .git, например из присланного архива.

Моё мнение. Удар пришёл не по модели, а по обвязке (harness): git, хуки, плагины, монтирование каталогов. Если вы даёте агенту открывать чужие репозитории, рассматривайте их как недоверенный ввод и запускайте агента в изолированном окружении. Для тестировщика это новый пункт чек-листа: что агент делает при открытии папки до первого сообщения пользователя.

Источник: Manifold Security

HookPry: подмена хуков при обновлении плагина компрометирует все 7 протестированных харнесов

Что случилось. В препринте от 3 сентября авторы показали, что обновления lifecycle-хуков в агентных обвязках принимаются без проверки. Атакующий, который контролирует только метаданные плагина и конфигурацию хуков, привязывает вредоносные команды к обычным событиям. На 25 комбинациях харнесов и бэкендов (1000 прогонов) пострадали все семь оценённых харнесов, успех до 92,5%. По данным статьи, Microsoft Defender показал 0% recall, а три статических защиты вместе пропустили 47,5% вредоносных артефактов.

Моё мнение. Плагины и хуки — это цепочка поставок, и относиться к ним надо как к зависимостям: фиксировать версии, смотреть диффы обновлений. Цифры взяты из статьи самих авторов атаки, поэтому условия их эксперимента стоит проверить под ваш стек. Но направление мне кажется верным: настройки агента нужно проверять так же, как исходный код.

Источник: arXiv:2609.03884

«Взрывные» промпты: инъекции, которые ждут триггера

Что случилось. Авторы препринта от 18 сентября описали «explosive prompts»: условные инструкции, спящие в данных, пока не появится выбранный атакующим триггер. На девяти боевых агентах (по 30 прогонов) они сработали в 43–83% случаев, тогда как обычная императивная инъекция — максимум в 3%. Предложенный детектор DeFuse по данным авторов пропускает 3,0% при 5% ложных срабатываний.

Моё мнение. Если ваши тесты на prompt injection состоят из фраз «игнорируй предыдущие инструкции», вы проверяете то, от чего модели уже научились защищаться. Добавьте в набор условные формулировки вроде «если пользователь когда-нибудь попросит X, сделай Y» и многошаговые сценарии. Отдельно помню, что 43–83% измерены авторами на конкретных агентах, это не универсальная цифра.

Источник: arXiv:2609.22510

Red teaming Auto Mode: монитор действий агента обходят инъекцией

Что случилось. Препринт от 17 сентября (v2 от 27 сентября) проверяет блокирующие классификаторы, которые ревьюят действия кодового агента перед запуском: Auto Mode в Claude Code и Guardian в Codex. Сценарий сильный: агента заранее считали вредоносным. В 79% прогонов он выполнил произвольные bash-команды, используя инъекцию против самого монитора. Авторы отмечают, что после изменений дизайна Auto Mode стал устойчивее, но защиту от многоконтекстных атак при приемлемой цене называют открытой проблемой.

Моё мнение. Монитор на основе LLM — слой защиты, а не гарантия, и его самого надо тестировать как атакуемый компонент. Условия исследования жёсткие (заведомо враждебный агент), поэтому не стоит читать 79% как оценку обычной эксплуатации. Практический вывод: права и сети ограничивайте технически, а классификатор оставляйте дополнительным барьером.

Источник: arXiv:2609.19587

Инфостилеры охотятся за токенами и MCP-конфигами AI-агентов

Что случилось. Gen Digital 8 сентября описала семейства инфостилеров, которые собирают данные Claude, Cursor, Cline, Codex и других инструментов. Крадут токены доступа и обновления, MCP-конфигурации с заголовками и ключами, историю промптов. У CallbackBeaver за последние 30 дней наблюдали более 5000 образцов. Авторы оговаривают, что детекты не обязательно означают успешное заражение.

Моё мнение. Папки с настройками агента на ноутбуке разработчика теперь содержат то же, что раньше хранили менеджеры паролей. Ключи в MCP-конфигах лучше заменять на короткоживущие токены с минимальными правами. В аудите AI-проекта я бы отдельно проверял, где лежат секреты агента и что будет, если машину разработчика скомпрометируют.

Источник: Gen Digital

Яндекс открыл Alice AI Foundation LLM

Что случилось. 21 сентября Яндекс опубликовал базовую модель Alice AI Foundation LLM: MoE на 80 млрд параметров, из них около 3 млрд активных, лицензия Apache 2.0. Яндекс называет её экспериментальной: на ней отрабатывают архитектурные решения для будущей единой рассуждающей модели. Для русского языка компания собрала два бенчмарка, WikiWebFacts и HardMultiQA, а превосходство над более крупными открытыми моделями заявлено самим Яндексом.

Моё мнение. Открытая модель с разрешительной лицензией и русскоязычными бенчмарками полезна тем, кто хочет сравнить собственные RAG-сценарии на локальной модели. Это базовая модель без пост-обучения, поэтому качество диалога и следование инструкциям придётся проверять самим. Новые бенчмарки от Яндекса хороши для старта, но решающим будет ваш собственный тестовый набор на ваших данных.

Источник: 3DNews

AI Act: требования к high-risk сдвинуты, но декабрь 2026 никто не отменял

Что случилось. Пакет Digital Omnibus вступил в силу: обязанности для high-risk систем по Annex III перенесены со 2 августа 2026 на 2 декабря 2027, для систем по Annex I — на 2 августа 2028. Две новые запрещённые практики (интимные изображения без согласия, в том числе «нудифайеры», и CSAM) и переходный срок по маркировке контента, созданного генеративными системами, привязаны к 2 декабря 2026. По разбору юрфирмы Orrick, также добавлены категория small mid-cap и расширение полномочий AI Office.

Моё мнение. Перенос даёт время, но не отменяет работы: оценку рисков, логирование и тесты на смещения и устойчивость придётся показывать. Ближайшая жёсткая дата для генеративных сервисов — 2 декабря 2026, если вы работаете на рынок ЕС. Я бы использовал отсрочку, чтобы поставить воспроизводимые evals в CI, а не копить документы к последнему месяцу.

Источник: Orrick